隱私權政策

1. 資料控管者與聯絡方式

當 MARA LABS 以此身分行事時，本政策所述個人資料處理之負責人（資料控管者）為下列公司。

如何與我們聯繫

如對本政策、行使您的權利，或更廣泛而言對您個人資料之處理有任何疑問，您可以郵寄方式聯絡 MARA LABS，寄送至其註冊總部地址：

MARA LABS — 資料保護 — 41 rue Jacquemars Giélée, 59800 Lille, France.

聯絡電子郵件地址。於本政策發布之日，MARA LABS 尚未設有專用聯絡電子郵件地址。專用聯絡電子郵件地址將於網域開通後啟用並公布於此。在此之前，就個人資料相關之任何要求，唯一聯絡方式仍為寄往註冊地址之郵件。

資料保護負責人

考量其資料處理之性質、範圍及目的，MARA LABS 並未指定資料保護長（DPO），此項指定依 GDPR 第 37 條規定並非強制性義務。就資料保護相關之任何問題，唯一聯絡方式仍為前述寄往註冊地址之郵件。

2. 定義

為利於理解本政策，下列用語（於原文以字首大寫標示）具有以下涵義。援引 RGPD 之定義者，其涵義與該法第4條相同。

源自 RGPD（第 4 條）之用語

• 個人資料： 指與一名已識別或可識別之自然人相關之任何資訊，無論係直接或間接識別，尤其透過參照姓名、識別號碼、位置資料、線上識別碼，或該自然人身分所特有之一項或多項要素予以識別。
• 處理：指對個人資料所進行之任何操作或一系列操作，例如蒐集、記錄、組織、保存、查閱、使用、揭露、刪除或銷毀。
• 資料控管者：決定資料處理目的與方式之自然人或法人。
• 受託處理者：代表控管者處理資料之自然人或法人。
• 資料主體：其資料受到處理之已識別或可識別之自然人。
• 接收者：指接收資料傳輸之自然人或法人。
• 同意：指資料主體以自由、明確、知情且不含糊之方式，表示其同意處理其個人資料之任何意思表示。
• 個人資料外洩事件：指因意外或非法原因所導致之安全性侵害，造成資料之毀損、遺失、篡改、未經授權之揭露，或未經授權之存取。

服務專屬條款

• 服務：「nullbot」軟體，以Software as a Service模式提供，用於調度代表客戶執行操作之人工智慧代理。
• 代理：由一個或多個人工智慧模型驅動的軟體實體，於服務中設定，依客戶所定義之指示與設定執行實際任務與操作。
• 輸出：代理根據客戶內容及所提供指示所產生的內容、結果或動作。
• 客戶內容： 指客戶提交予服務之全部資料、檔案、指示、帳號憑證及資訊，或 Agent 於執行任務過程中所存取之上述內容。客戶內容可能包含個人資料，客戶對該等資料負責。
• 客戶：指以專業身分訂閱本服務、並由代理人（Agents）代其執行任務之法人或自然人。
• 授權使用者：經客戶授權得存取並設定本服務之自然人。
• 模型供應商：提供代理（Agents）所使用之人工智慧模型的第三方服務商（例如 Anthropic 或 Google）。
• BYO key（Bring Your Own Key，自帶金鑰）：允許客戶使用自己向模型供應商申請的存取金鑰，使與該供應商之間的往來在客戶自己的帳戶下、由客戶自行負責進行。

3. 適用範圍

本政策適用於 MARA LABS 於下列範圍內所進行之一切個人資料處理：

• 訪客對網站之查閱與使用；
• 與潛在客戶及準客戶之商業關係與訂約前關係；
• 與客戶及其授權使用者之服務提供合約之簽訂、履行及後續管理；
• 帳單開立與付款之管理；
• 服務與網站之安全性、監督與改善。

以受託處理者身分進行之處理作業。 代理人（Agents）對客戶內容之處理，屬於 GDPR 第 28 條意義下之委外處理（sous-traitance）。就此而言，客戶仍為資料控管者，本政策並不能取代客戶應向資料主體提供之告知義務。MARA LABS 作為受託處理者所承擔之義務，載明於下文專門條款，並詳述於DPA中。

第三方連結。 本政策不適用於透過本網站或本服務之超連結所連接之第三方網站、服務或平台。MARA LABS 建議資料主體參閱該等第三方各自之隱私權政策。

4. 所蒐集資料之類別

MARA LABS依資料主體之身分及蒐集情境，蒐集並處理不同類別之個人資料。並適用最小化原則（RGPD第5條第1項第c款）：僅蒐集為達成處理目的所嚴格必要之資料。

網站訪客資料

當任何人瀏覽本網站時，MARA LABS 可能處理：

• 瀏覽資料：所瀏覽之頁面、連線日期與時間、瀏覽時長、於本網站上之瀏覽路徑；
• 技術資料:IP 位址、瀏覽器類型與版本、作業系統、裝置類型、語言、螢幕解析度;
• 由cookie與追蹤器植入的識別碼，依Cookie政策所載條件處理。

潛在客戶資料

當任何人對本服務表示興趣時（聯絡表單、要求示範、商業接洽、訂閱通訊），MARA LABS 可能處理：

• 職業識別資料：姓、名、職稱、公司、業務領域；
• 職業聯絡資訊：職業電子郵件地址、職業電話號碼；
• 往來內容：需求之性質、所表達之需求、聯絡歷史。

客戶及授權使用者之資料

於契約之簽訂及履行過程中，MARA LABS 處理：

• 帳號識別資料：姓、名、職稱、電子郵件地址、登入帳號；
• 客戶企業之識別資料：公司名稱、地址、識別編號（SIREN/SIRET 或相當編號）、歐盟增值稅識別號；
• 帳戶管理資料：偏好設定、代理人（Agents）之設定、所賦予之存取權限、組態設定歷程；
• 契約關係資料：契約、訂單、往來函件、支援請求。

付款資料

為處理付款與帳單事宜，將處理以下資料：

• 計費資料：公司名稱、帳單地址、加值稅編號、金額及交易紀錄；
• 與付款方式相關之資料，由付款服務供應商Stripe直接蒐集及處理。MARA LABS不會儲存完整之銀行卡號；此等敏感資料係由該服務供應商於通過PCI-DSS認證之環境中進行處理。

提交予代理人之客戶內容

在 Agent 執行任務之過程中，客戶所提交之客戶內容可能包含個人資料（例如與客戶之員工、顧客、供應商或聯絡人相關之資料）。就該等資料而言：

• 客戶為資料控管者；
• MARA LABS 係以處理者之身分行事，僅依客戶之書面指示處理該等資料，且僅為執行本服務之目的而為之。

MARA LABS 對客戶內容所含資料之內容、性質或敏感程度不具掌控權。客戶應自行確保其具備合法依據、已向資料主體提供所需之告知資訊，且除非採取適當保障措施，不得提交屬 RGPD 第 9 條所稱特殊類別之資料。

技術資料與日誌（logs）

為確保服務之運作、安全性與可追溯性，MARA LABS 處理以下資料：

• 存取與活動紀錄：連線與操作之時間戳記、IP 位址、工作階段識別碼，以及代理所執行之操作；
• 技術與診斷日誌：系統事件、錯誤、效能指標；
• 安全日誌：存取嘗試、驗證事件、安全警示。

5. 處理目的與法律依據

MARA LABS 以控管者身分所實施之各項處理作業，均追求一項或多項特定目的，並依據 RGPD 第 6 條所列之其中一項法律依據。下表彙整此等處理作業。

正當利益之說明與權衡

當 MARA LABS 以其正當利益（RGPD 第6條第1項第f款）作為處理之依據時，將就該利益與資料當事人之基本權利及自由進行利益衡量。

所追求之利益。所援引之正當利益尤其包括:確保服務與網站之安全性及完整性;防止詐欺與濫用行為;於專業(B2B)框架下發展並推廣商業活動;提升服務品質;於發生爭議時保障 MARA LABS 之權利。

合理性。此等處理僅限於必要範圍，主要涉及職業性資料，且不會對隱私造成過度侵害。資料主體在職業關係之情境下，可合理預期此等處理之進行。

保障。資料主體得隨時基於其特殊情況行使反對權（RGPD 第 21 條），並於行銷招攬事宜享有無條件反對權。行使方式詳見權利相關條款。

6. 服務與人工智慧

本服務以由第三方模型供應商所提供之人工智慧模型驅動之代理人（Agents）為核心。MARA LABS 特別重視此項技術運作方式之透明度。

將內容傳送予模型供應商

為產生產出，由代理處理之內容及指令（於相關情形下，包含客戶內容）將傳輸予模型供應商。此項傳輸僅為產生所要求之產出之目的而進行，並僅限於本服務執行之範圍內。

專業介面，不用作訓練

與模型供應商之間的互動係透過受企業使用條款規範的專業介面（API）進行。依據該等條款，所傳輸的內容不會被用於訓練或再訓練供應商之模型。資料僅用於產生對應請求之輸出結果。

「自帶金鑰（BYO key）」選項

本服務提供「BYO key」（Bring Your Own Key，自備金鑰）選項，使客戶得於模型提供者處，使用其自有之存取金鑰。於此情形下，與該提供者之往來，係直接以客戶名義並由客戶負責進行，並依客戶所接受之該提供者條款辦理。

輸出結果之機率性本質

7. 自動化個人決策

依RGPD第22條規定，任何資料主體均有權不受完全基於自動化處理（包括剖析）所作成、且對其產生法律效果或造成類似重大影響之決定拘束。

MARA LABS 以控管者身分進行之處理。 就 MARA LABS 以控管者身分進行之處理（網站管理、潛在客戶管理、客戶管理、計費管理）而言，MARA LABS 不會單純依據自動化處理作成產生法律效力或重大影響之決定，符合第 22 條之規定。

代理人所執行之行為。代理人（Agents）得以自動化方式為客戶執行行為。當此等行為可能構成對資料當事人產生法律效果或重大影響之自動化決策時，應由客戶（以其作為客戶內容之資料控管者身分）評估其合法性、落實第 22 條所要求之保障措施（尤其是人為介入、表達意見及對決定提出異議之可能性），並提供所需之資訊告知。身為受託處理者之 MARA LABS，則提供設定與監督功能，使客戶得以確保此項人為控管。

8. MARA LABS 作為受託處理者（RGPD 第 28 條）

就客戶內容之處理而言，MARA LABS 擔任受託處理者（依RGPD 第 28 條規定之意義），客戶則保留資料控管者之身分。此一關係受資料處理協議（DPA）所規範，該協議可於 dpa.html 頁面查閱，並就相關處理作業具優先效力。

MARA LABS 作為受託者的承諾

依 RGPD 第 28 條第 3 項規定，MARA LABS 特別承諾：

• 僅依客戶的書面指示處理資料，包括歐盟境外的資料傳輸在內，法律另有強制規定者除外；
• 確保資料之保密性，確保獲授權處理資料之人員負有保密義務；
• 依 GDPR 第 32 條規定，採取適當之技術與組織措施；
• 遵守委任次受託處理者之相關條件（事先授權、變更通知、以契約方式轉嫁相同義務）；
• 協助客戶採取適當措施，以回應資料主體行使其權利之請求；
• 協助客戶履行其於資安、違反事件通報、影響評估及事先諮詢主管機關等方面之義務；
• 刪除或返還服務期滿後的資料，依客戶之選擇為之，並銷毀現有副本，但法律另有保存義務者不在此限；
• 向客戶提供所有必要資訊,以證明其已履行相關義務,並使稽核得以進行。

向客戶通知資料外洩事件。作為受託處理者，MARA LABS 一旦知悉任何影響客戶內容之資料外洩事件，將毫無不當延遲地通知客戶，以利客戶履行其自身之通知義務。

9. 資料接收者

個人資料之接收對象為 MARA LABS 內部有權限之部門，且以其職權範圍為限，以及下列各類接收者：

• 參與商務管理、服務營運、客戶支援、帳單開立及安全事務之MARA LABS 授權人員；
• 代表 MARA LABS 行事之次受託處理者，詳列於專門條款中（主機代管、模型供應商、付款、內容散布）；
• 金流服務提供者，用於處理交易；
• MARA LABS之顧問與服務提供者（會計師、律師、稽核人員），彼等負有保密義務；
• 有管轄權之行政或司法機關，於法律要求或為維護 MARA LABS 權利之目的時。

MARA LABS 不會出售任何個人資料。除非符合適用之法律依據，否則不會為招攬客戶之目的向第三方揭露任何資料。

10. 後續受託處理者

為提供服務，MARA LABS 委託第三方服務供應商擔任次處理者。每一供應商皆因其在資料保護方面提供之保證而經篩選，並受合約約束，須履行符合 GDPR 第 28 條之義務。下表列出主要之次處理者。

名單之更新與異議權

MARA LABS得因服務需要調整其次受託處理者名單。任何變更（新增或替換）均將反映於本政策中，並於必要時依DPA規定通知客戶。客戶得依DPA所定條件，對新增次受託處理者基於正當理由提出異議。

11. 歐盟境外傳輸

MARA LABS之部分次受託人位於歐盟以外地區,尤其是美國。任何向第三國之資料傳輸,均依RGPD第五章之規定進行規範。

標準契約條款

在無適用之適足性認定的情況下，資料傳輸係依據歐盟執委會透過2021 年 6 月 4 日（歐盟）2021/914 號執行決定所採認之標準契約條款（CCT）進行。此等條款課予接收方與 RGPD 相當之保護義務。

補充措施

當有必要確保達成實質相當之保護水準時，MARA LABS 將於 CCT 之外，採取或確保採取適當之補充措施，尤其包括：對傳輸中及靜態資料進行加密、於可行時進行假名化、實施嚴格之存取控制，以及評估目的地國家之法制及資料主體可獲得之救濟途徑。

資料主體如欲取得有關資料傳輸之補充資訊，以及所採行保障措施之副本，得以書面方式將請求寄送至 MARA LABS 之註冊辦公地址。

12. 保存期限

個人資料之保存期限不得超過達成其處理目的所必要之期間，並得視情況加計法定時效期間及法定歸檔期間。下表載明所適用之保存期限。

超過上述期限後，資料將被不可逆地刪除或匿名化。若法律有所要求，或為確認、行使或抗辯司法權利之目的，部分資料得以封存方式保存更長時間。

13. 資料安全

依據GDPR 第 32 條，MARA LABS 實施適當之技術與組織措施，以確保與風險相符之安全等級，並考量現有技術水準、實施成本，以及處理之性質、範圍與目的。

技術措施

• 傳輸中資料之加密（TLS 協定），必要時並包含靜態儲存資料之加密；
• 存取控制，本於最小權限原則及經授權使用者之身分驗證；
• 客戶間環境與資料之隔離；
• 對存取及敏感操作進行日誌記錄與可追溯性管理；
• 定期備份及還原程序；
• 安全事件之監督與偵測。

組織性措施

• 授權人員之意識培訓及保密承諾；
• 權限管理及存取權限之定期審查；
• 篩選具備充分保障之受託者，並訂立契約規範；
• 管理程序，用於處理資安事故與資料外洩。

14. 個人資料外洩事件

MARA LABS 已建立個人資料外洩事件之偵測、判定與管理程序。

當 MARA LABS 擔任控管者時

如發生可能對資料當事人之權利與自由造成風險之資料外洩事件，MARA LABS 將依據GDPR 第 33 條之規定，於知悉後儘速，並儘可能於72 小時內通知 CNIL。若該外洩事件可能造成高風險，亦將依據GDPR 第 34 條之規定，儘速通知受影響之資料當事人。

當 MARA LABS 作為受託處理者時

如發生影響客戶內容之資料外洩事件，MARA LABS 於知悉後，依RGPD 第 33 條第 2 項之規定，不得無故遲延通知客戶，以便身為資料控管者之客戶得以履行其向監管機關，以及必要時向資料當事人通知之義務。

任何資料外洩事件均須進行內部文件記錄，載明事實經過、影響範圍及所採取之補救措施，以符合資料外洩事件登記簿之留存義務。

15. 您的權利

依據 RGPD 及《資訊與自由法》（loi Informatique et Libertés），任何資料當事人就 MARA LABS 以控管者身分所處理之資料，皆享有下列權利。

查閱權(第15條)

您可要求確認是否有關於您的資料正在被處理，並於適用情況下取得該等資料之副本，以及有關處理目的、資料類別、接收者及保存期限之資訊。

更正權（第 16 條）

您可以要求更正與您相關之不準確資料，並要求補充不完整之資料。

刪除權（第 17 條）

您得於 RGPD 所定情形下請求刪除您的資料，惟仍受限於法定保存義務及訴訟權利防禦之需要。

限制處理權（第 18 條）

您得請求暫時凍結您資料之使用，尤其於對其正確性或處理合法性提出爭議之情形。

反對權（第 21 條）

您得基於自身特殊處境之理由，對以 MARA LABS 正當利益為依據之處理表示反對，並得無條件反對為商業開發目的所進行之處理。

資料可攜權（第 20 條）

對於以同意或契約履行為依據，並以自動化方式進行之處理，您得以結構化、常用且機器可讀之格式取得您的資料，並將其傳輸予另一資料控制者。

撤回同意之權利

若某項處理係基於您的同意，您可隨時撤回同意，此舉不影響撤回前所進行處理之合法性。

身故後指示

依據 loi Informatique et Libertés 第 85 條之規定，您可訂立關於您身故後個人資料處置方式之指示（保存、刪除、提供），不論是概括性或特定性指示，並指定專人負責執行。

提出申訴之權利

若您認為您的資料處理不符合相關法規，您有權向 CNIL 提出申訴（請參閱專門條款）。

如何行使您的權利

您得透過郵寄信函行使您的權利，收件地址為：MARA LABS — Protection des données — 41 rue Jacquemars Giélée, 59800 Lille, France。專屬聯絡電子郵件地址將於網域開通後啟用，並於此處公布。

身分證明。為防止任何未經授權之存取，若對申請人身分存有合理疑慮，MARA LABS 得要求您以任何適當方式證明身分。

回覆期限。MARA LABS 應於收到請求後一個月內回覆。視請求之複雜程度及數量，此期限得再延長兩個月；屆時將另行通知您。

客戶內容。就客戶內容中所含之資料，MARA LABS 係以受託處理者之身分行事，相關請求應向身為資料控管者之客戶提出。MARA LABS 將依據DPA協助客戶處理該等請求。

16. 未成年人之資料

本服務為專業（B2B）軟體，並非提供予未成年人使用，亦不對其銷售。MARA LABS 於其作為控管者所進行之處理活動中，不會故意蒐集有關未成年人之資料。

若 MARA LABS 得知其在缺乏適當法律依據之情況下，因錯誤而蒐集未成年人之相關資料，將儘速刪除該等資料。任何知悉此類情形之人士，敬請以書面郵寄至公司註冊地址進行通報。

17. 商業推廣與異議權

MARA LABS 可能於 B2B 關係之範疇內，依適用於專業招攬之相關規定，向專業人士寄發商業招攬通訊。

在法律要求的情況下，開發聯繫須以當事人的事先同意為前提；否則，則依據 MARA LABS 發展業務之正當利益，惟其內容須與收件人的專業職能相關。

您可以隨時且免費反對接收行銷推廣通訊：

• 使用每則電子通訊中所附之取消訂閱連結（如有提供）；
• 以信函方式將請求寄至 MARA LABS 之註冊辦公地址。

18. Cookies 與追蹤器

本網站可能使用Cookie 及其他追蹤器。網站正常運作所必需之追蹤器係基於 MARA LABS 之正當利益，而非必要之追蹤器（尤其是未獲豁免之流量統計）則須事先取得您的同意。

詳細之規範方式（追蹤器類別、目的、保存期限、同意之管理與撤回方式）詳載於Cookies 與追蹤器政策中，本政策特此明示援引該政策。

19. 資料的來源與準確性

資料來源。MARA LABS 所處理之資料，絕大多數情形下係直接向資料當事人蒐集（表單、帳戶建立、商業往來、服務使用）。部分技術資料則因使用本網站及本服務而自動產生。必要時，於 B2B 開發之範疇內，專業資料亦可能來自公開可取得之來源（登記名冊、專業網站）。

資料之正確性。MARA LABS 致力維持資料之正確與最新。敬請您通報任何不正確之處，以便我們更新您的資料，並行使您之更正權。

20. 政策之修訂

MARA LABS 得修改本政策，以因應法律、法規、判例、技術或組織方面之變化，或服務內容或次處理者名單之變更。

適用版本為查閱當日刊登於網站上之版本。如有重大變更，MARA LABS 將盡力以任何適當方式告知相關人員。建議定期查閱本頁面。

21. 向監管機關提出申訴

若您於聯繫我們後,認為您的權利未受到尊重,或您的資料處理未符合相關法規,您有權向法國主管監督機關國家資訊與自由委員會(CNIL)提出申訴。

然而，MARA LABS 建議您於提出任何申訴前，先以書面方式聯繫其註冊辦公地址，以尋求和解方案。